大家对trigger可能比较熟悉,但oracle还有一个叫fga的功能,它的作用和trigger类似,但功能更强大.它的全称是fine-grained audit ,是audit的一种特殊方式.使用fga只要调用oracle的包dbms_fga.add_policy创建一些policy(审计策略)就行.每个policy只能针对一个表或视图.建好策略后所以对表或视图的dml操作(select,insert,update,delete都可以记录到,当然也可以添加一些筛选条件只监测某些特殊的操作.
补充:所谓审计就是记录你的任意操作,假如你的操作(执行dml语句)符合指定的条件,则你执行的sql语句,将被记录到sys用户下的一些表中,还会将你的其他信息,比如执行时间,用户名,通过什么工具,机器名等.fga在oracle 9i中就有了,但在9i中只能审计select语句.从10g开始才能审计所有的dml操作
fga与triger的明显区别:
1.fga使用自治的事务,即使dml操作被rollback了,它仍然照样执行不会rollback.而trigger是会被rollback的.
2.做更新操作时trigger可以记录更新前的旧值和更新后的新值,而fga是不记录旧值.
1.包dbms_fga.add_policy的用法创建审计策略的语法
dbms_fga.add_policy (
object_schema varchar2, --schema的名字,表或视图的拥有者
object_name varchar2, --对象名,表或视图的名字
policy_name varchar2, --审计策略名字,它和数据库中其他对象一样,需要有一个不重复,唯一的名字
audit_condition varchar2, --筛选条件比如可以选择哪些符合条件的操作被记录
audit_column varchar2, --表中的某一列,可以只记录对表中某一列的操作.如果不指定表示审计所有的列
handler_schema varchar2, --是下面的handler_module的拥有者,其实也只能是创建policy的用户,而上面的object_schema可以是任意用户
handler_module varchar2,--可以是一个一个存储过程或函数,但监测到任何一条符合条件的操作时执行它.
enable boolean, --true 或false表示policy是开启或关闭状态,如果是false表示不进行审计
statement_types varchar2, --表示哪些操作将被审计,可以填上select,insert,update,delete中的一个或几个
audit_trail binary_integer in default,--有参数db,xml表示审计到的信息保存到数据库中或是以xml文件形式保存到磁盘上
audit_column_opts binary_integer in default); --这个选项其实只有在audt_column中指定了某列时才起作用.它有any_columns,all_columns两个选项假如表中有eno,ename两列,并在audit_column中指定了这两列,那么选any_columns表示只要操作其中的任意一列都将被记录,而这里指定all_columns的话是说只有一个sql语句同时操作了这两列才被记录
举例,假如创建表:create table temp(eno int,ename varchar2(30));针对这个表创建policy
每个策略只能针对一个表或视图,而一个表或视图可能对应多个策略.当表被删除时策略也随之默认被删除
begin
sys.dbms_fga.add_policy (
object_schema => 'arwen'
,object_name => 'temp'
,policy_name => 'fga_temp'
,audit_condition => null
,audit_column => eno,ename
,handler_schema => null
,handler_module => null
,enable => true
,statement_types =>'select,insert,update,delete'
,audit_trail => sys.dbms_fga.db+sys.dbms_fga.extended
--dbms_fga.db表示记录将被保存到数据库中,dbms_fga.extended表示如果sql语句中带有绑定变量也会被记录下来.
--如果是这样选audit_trail => sys.dbms_fga.db表示不会记录绑定变量
--sys.dbms_fga.db+sys.dbms_fga.extended改成sys.dbms_fga.xml+sys.dbms_fga.extended表示记录保存成xml文件
--xml文件所在目录可以通过show parameter audit_file_dest查看,如果要更改目录alter system set audit_file_dest = directory_path deferred;
,audit_column_opts => sys.dbms_fga.all_columns)
end;
查看创建好的policy对象和符合审计条件时被记录的操作
我们可以通过select * from dba_objects查看table,view等对象,类似的policy创建好后我们可以通过select * from dba_audit_policies来查看.
如果我们对表temp执行了dml操作,那些信息将会被操作到sys用户下的表中,select* from sys.dba_fga_audit_trail可以查找到.(注意这只有前面设置将记录信息
保存到数据库才能这样查,如果保存到xml文件中可以select *from v$xml_audit_trail)
2.删除审计策略,假如删除上面创建的策略begin
sys.dbms_fga.drop_policy (
object_schema => 'arwen'
,object_name => 'temp'
,policy_name => 'fga_temp'
);
end;
3.使用handler_module
假如你想在审计到某些操作时还进行进一步的处理,比如把信息写到自己创建的日志中,或者发送邮件通知相关人员.就要在创建policy时使用handler_module的功能,指定一个存储过程去做相应的处理.假如我创建一个存储过程temp_handler
create or replace procedure temp_handler
( v_object_schema varchar2
, v_object_name varchar2
, v_policy_name varchar2
)
is
v_temp varchar2(30);
begin
null;
end temp_handler;
--这里的存储过程有点特殊,它必须带v_object_schema varchar2, v_object_name varchar2, v_policy_name varchar2这三个参数才行,如果直接写一个一般的存储过程就会出错的.在policy中调用存储过程就这样 写
begin
sys.dbms_fga.add_policy (
object_schema => 'arwen'
,object_name => 'temp'
,policy_name => 'fga_temp'